Elasticsearch:アプリケーションからクラスターへの接続

事前準備

クラスターエンドポイントの取得

Elasticsearch クラスターには、VPC プライベートネットワーク経由の内部エンドポイント、またはパブリックエンドポイントを使用して接続できます。

• 内部エンドポイント：Elasticsearch クラスターへの低レイテンシーで安定性の高い接続を提供します。このエンドポイントは、クラスター作成時にデフォルトで有効になります。

• パブリックエンドポイント：インターネット経由で Elasticsearch クラスターに接続できます。このエンドポイントは手動で有効にする必要があります。

パブリックアクセスの有効化

1. Elasticsearch コンソールにログインし、お使いのインスタンスの基本情報ページに移動します。

2. ナビゲーションペインで、設定と管理 > セキュリティ設定 を選択し、パブリックアクセスを有効にします。クラスターのステータスが 初期化中 から 有効 に変更されると、パブリックアクセスが有効になります。

   [パブリックアクセス] を有効にすると、[パブリックエンドポイント] は es-cn-<instance_ID>.public.elasticsearch.aliyuncs.com の形式になります。[パブリック IP ホワイトリスト] はデフォルトでは空であり、設定する必要があります。

   重要

   パブリックエンドポイントを使用すると、Elasticsearch クラスターのセキュリティが損なわれる可能性があります。パブリックエンドポイントを使用する場合は、必ず IP ホワイトリストを設定し、使用後はパブリックアクセスを無効にしてください。

IP ホワイトリストの設定

クラスターを保護するには、アクセスに使用するデバイスの IP アドレスを、Elasticsearch クラスターの VPC プライベートネットワークまたはパブリック IP ホワイトリストに追加する必要があります。ホワイトリストに登録された IP アドレスを持つデバイスのみがクラスターにアクセスできます。

1. アクセスに使用するデバイスの IP アドレスを取得します。

   次の表では、さまざまなシナリオで IP アドレスを取得する方法を説明します。

   シナリオ：	IP アドレス：	方法：
   ローカルデバイスから Elasticsearch クラスターに接続する	ローカルデバイスのパブリック IP アドレス。 ローカルデバイスが家庭用ネットワークや企業ネットワークなどのローカルエリアネットワーク (LAN) 上にある場合は、LAN のゲートウェイのパブリック IP アドレスをクラスターのパブリック IP ホワイトリストに追加する必要があります。	curl ipinfo.io/ip コマンドを実行して、ローカルデバイスのパブリック IP を確認します。
   異なる VPC の ECS インスタンスから Elasticsearch クラスターに接続する	ECS インスタンスのパブリック IP アドレス。	ECS コンソールにログインして、インスタンスリストで確認します。
   同じ VPC の ECS インスタンスから Elasticsearch クラスターに接続する	ECS インスタンスのプライベート IP アドレス。	ECS コンソールにログインして、インスタンスリストで確認します。

2. この IP アドレスをホワイトリストグループに追加します。

   1. Elasticsearch コンソールにログインします。 インスタンスの基本情報ページで、ナビゲーションペインから設定と管理 > セキュリティ設定を選択します。 変更をクリックして、VPC プライベートネットワークまたはパブリック IP ホワイトリストを設定します。

   2. default グループの右側にある[設定]をクリックします。表示されるダイアログボックスで、VPC プライベートネットワークまたはパブリック IP ホワイトリストに IP アドレスを追加します。クラスターには、最大 300 個の IP アドレスまたは CIDR ブロックを追加できます。複数のエントリはコンマ (,) で区切り、スペースは追加しないでください。

      • また、Add IP address whitelist Group をクリックしてカスタムグループを作成することもできます。

      • ホワイトリストグループは IP アドレス管理のためのものであり、アクセス権限には影響しません。すべてのグループのすべての IP アドレスは同じ権限を持ちます。

      設定タイプ：	形式と例：	重要な注意事項：
      IPv4 アドレス形式	単一 IP: 192.168.0.1 CIDR ブロック: 192.168.0.0/24	すべてのアクセスを拒否： 127.0.0.1 すべてのアクセスを許可: 0.0.0.0/0 重要 これは高いセキュリティリスクをもたらします。0.0.0.0/0 を設定しないことを強く推奨します。 7.16 や 8.5 などの一部のクラスターバージョンおよびリージョンでは、0.0.0.0/0 はサポートされていません。詳細については、コンソール UI またはエラーメッセージをご参照ください。
      IPv6 アドレス形式 (China (Hangzhou) リージョンの v2 デプロイメントアーキテクチャクラスターでのみサポートされています)	単一 IP： 2401:XXXX:1000:24::5 CIDR ブロック: 2401:XXXX:1000::/48	すべてのアクセスを拒否: ::1 すべてのアクセスを許可: ::/0 重要 これは高いセキュリティリスクをもたらします。 ::/0 を設定しないことを強く推奨します。 クラスターのバージョンによっては、::/0 をサポートしていません。詳細については、コンソール UI または設定プロンプトをご参照ください。

   3. OK をクリックします。

基本的な接続例

この例は、パブリック HTTPS 接続またはプライベート HTTP 接続に適用できます。コード内のプロトコル指定 ("https") を接続タイプに応じて変更してください。

package org.example;
import co.elastic.clients.elasticsearch.ElasticsearchClient;
import co.elastic.clients.elasticsearch.cat.IndicesResponse;
import co.elastic.clients.elasticsearch.indices.*;
import co.elastic.clients.json.jackson.JacksonJsonpMapper;
import co.elastic.clients.transport.ElasticsearchTransport;
import co.elastic.clients.transport.rest_client.RestClientTransport;
import org.apache.http.HttpHost;
import org.apache.http.auth.AuthScope;
import org.apache.http.auth.UsernamePasswordCredentials;
import org.apache.http.client.CredentialsProvider;
import org.apache.http.impl.client.BasicCredentialsProvider;
import org.apache.http.impl.nio.client.HttpAsyncClientBuilder;
import org.elasticsearch.client.*;
import java.io.IOException;
public class RestClientTest {
    public static void main(String[] args) {
        final CredentialsProvider credentialsProvider = new BasicCredentialsProvider();
        credentialsProvider.setCredentials(AuthScope.ANY, new UsernamePasswordCredentials("{UserName}", "{YourPassword}"));
        // パブリック HTTPS アクセスには "https" を、プライベート HTTP アクセスには "http" を使用します。
        RestClient restClient = RestClient.builder(new HttpHost("{YourEsHost}", 9200, "https"))
                .setHttpClientConfigCallback(new RestClientBuilder.HttpClientConfigCallback() {
                    @Override
                    public HttpAsyncClientBuilder customizeHttpClient(HttpAsyncClientBuilder httpClientBuilder) {
                        return httpClientBuilder.setDefaultCredentialsProvider(credentialsProvider);
                    }
                }).build();

        ElasticsearchTransport transport = new RestClientTransport(restClient, new JacksonJsonpMapper());
        ElasticsearchClient elasticsearchClient = new ElasticsearchClient(transport);
        try {
            CreateIndexResponse indexRequest = elasticsearchClient.indices().create(createIndexBuilder -> createIndexBuilder
                    .index("hr_test")
                    .aliases("foo", aliasBuilder -> aliasBuilder.isWriteIndex(true))
            );
            System.out.println("Index document successfully! " + indexRequest.acknowledged());
            transport.close();
            restClient.close();
        } catch (IOException ioException) {
            // 例外を処理します。
        }
    }
}

プライベート HTTPS 接続例

プライベート HTTPS の場合は、証明書の検証をスキップします：

package org.example;
import co.elastic.clients.elasticsearch.ElasticsearchClient;
import co.elastic.clients.json.jackson.JacksonJsonpMapper;
import co.elastic.clients.transport.ElasticsearchTransport;
import co.elastic.clients.transport.rest_client.RestClientTransport;
import org.apache.http.HttpHost;
import org.apache.http.auth.AuthScope;
import org.apache.http.auth.UsernamePasswordCredentials;
import org.apache.http.client.CredentialsProvider;
import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.impl.client.BasicCredentialsProvider;
import org.apache.http.impl.nio.client.HttpAsyncClientBuilder;
import org.apache.http.ssl.SSLContexts;
import org.elasticsearch.client.*;
import javax.net.ssl.SSLContext;

public class RestClientTestPrivateHttps {
    public static void main(String[] args) throws Exception {
        final CredentialsProvider credentialsProvider = new BasicCredentialsProvider();
        credentialsProvider.setCredentials(AuthScope.ANY, new UsernamePasswordCredentials("{UserName}", "{YourPassword}"));
        // すべての証明書を信頼する SSLContext を作成します。
        SSLContext sslContext = SSLContexts.custom()
          .loadTrustMaterial(null, (chain, authType) -> true)  // すべての証明書を信頼します。
          .build();
        RestClient restClient = RestClient.builder(new HttpHost("{YourEsHost}", 9200, "https"))
                .setHttpClientConfigCallback(new RestClientBuilder.HttpClientConfigCallback() {
                    @Override
                    public HttpAsyncClientBuilder customizeHttpClient(HttpAsyncClientBuilder httpClientBuilder) {
                        return httpClientBuilder
                            .setDefaultCredentialsProvider(credentialsProvider)
                            .setSSLContext(sslContext)                          // SSLContext を設定します。
                            .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE);  // ホスト名の検証をスキップします。
                    }
                }).build();

        ElasticsearchTransport transport = new RestClientTransport(restClient, new JacksonJsonpMapper());
        ElasticsearchClient elasticsearchClient = new ElasticsearchClient(transport);
        
        // 操作を実行します。
        System.out.println(elasticsearchClient.info());
        
        transport.close();
        restClient.close();
    }
}

Python

これらの例では Elasticsearch 8.17.0 を使用します。お使いのクラスターのバージョンに置き換えてください。

pip install elasticsearch==8.17.0

from elasticsearch import Elasticsearch
import urllib3
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)  # SSL 警告を無効化します (任意)。

es = Elasticsearch(
    hosts=['https://<YourEsHost>:9200'],
    basic_auth=('<UserName>', '<YourPassword>'),
    verify_certs=False,           # 証明書の検証をスキップします。
    ssl_show_warn=False,          # SSL 警告を無効化します。
)
print(es.info())

Go

これらの例では、Elasticsearch 8.x クラスター向けの Elasticsearch Go Client を使用します。

go get github.com/elastic/go-elasticsearch/v8

package main

import (
	"crypto/tls"
	"log"
	"net/http"

	"github.com/elastic/go-elasticsearch/v8"
)

func main() {
    cfg := elasticsearch.Config{
        Addresses: []string{"https://<YourEsHost>:9200"},
        Username:  "<UserName>",
        Password:  "<YourPassword>",
        Transport: &http.Transport{
            TLSClientConfig: &tls.Config{InsecureSkipVerify: true},  // 証明書の検証をスキップします。
        },
    }
    es, _ := elasticsearch.NewClient(cfg)
    res, _ := es.Info()
    defer res.Body.Close()
    log.Println(res)
}

よくある質問

クラスターのステータスが正常でもクライアントが接続できない場合は、次の方法でトラブルシューティングを行います。

route -n

curl -u {UserName}:{YourPassword} https://{YourEsHost}:9200

RestClient restClient = RestClient.builder(new HttpHost("{YourEsHost}", 9200, "https"))
    .setRequestConfigCallback(builder -> builder
        .setConnectTimeout(10000)
        .setSocketTimeout(30000))
    .setHttpClientConfigCallback(httpClientBuilder ->
        httpClientBuilder.setDefaultCredentialsProvider(credentialsProvider))
    .build();

spring:
  elasticsearch:
    rest:
      uris: https://<YourEsHost>:9200
      username: <UserName>
      password: <YourPassword>
      connection-timeout: 10s
      read-timeout: 30s